{"id":111010,"date":"2023-10-20T21:10:22","date_gmt":"2023-10-20T19:10:22","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/zafiksirovan-perehvat-shifrovannogo-trafika-jabber-ru-i-xmpp-ru"},"modified":"2023-10-20T21:10:22","modified_gmt":"2023-10-20T19:10:22","slug":"zafiksirovan-perehvat-shifrovannogo-trafika-jabber-ru-i-xmpp-ru","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/zafiksirovan-perehvat-shifrovannogo-trafika-jabber-ru-i-xmpp-ru","title":{"rendered":"Zarejestrowano przechwycenie zaszyfrowanego ruchu jabber.ru i xmpp.ru","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Administrator serwera Jabber jabber.ru (xmpp.ru) zidentyfikowa\u0142 atak polegaj\u0105cy na odszyfrowywaniu ruchu u\u017cytkownik\u00f3w (MITM), trwaj\u0105cy od 90 dni do 6 miesi\u0119cy w sieciach niemieckich dostawc\u00f3w hostingu Hetzner i Linode, gdzie umieszczony jest serwer projektu oraz pomocnicze \u015brodowiska VPS. Atak zorganizowano poprzez przekierowanie ruchu do w\u0119z\u0142a tranzytowego, kt\u00f3ry podmienia\u0142 certyfikat TLS dla po\u0142\u0105cze\u0144 XMPP, szyfrowanych przy u\u017cyciu rozszerzenia STARTTLS. <\/p>\n

Atak zosta\u0142 zauwa\u017cony z powodu b\u0142\u0119du jego organizator\u00f3w, kt\u00f3rzy nie zd\u0105\u017cyli przed\u0142u\u017cy\u0107 certyfikatu TLS u\u017cywanego do podmiany. 16 pa\u017adziernika administrator jabber.ru podczas pr\u00f3by po\u0142\u0105czenia z us\u0142ug\u0105 otrzyma\u0142 komunikat o b\u0142\u0119dzie z powodu wyga\u015bni\u0119cia wa\u017cno\u015bci certyfikatu, ale certyfikat umieszczony na serwerze nie by\u0142 przestarza\u0142y. Ostatecznie okaza\u0142o si\u0119, \u017ce certyfikat otrzymywany przez klienta r\u00f3\u017cni\u0142 si\u0119 od certyfikatu wysy\u0142anego przez serwer. Pierwszy fa\u0142szywy TLS certificate<\/a> otrzymano 18 kwietnia 2023 roku za po\u015brednictwem us\u0142ugi Let’s Encrypt, w kt\u00f3rej atakuj\u0105cy, maj\u0105c mo\u017cliwo\u015b\u0107 przechwycenia ruchu, m\u00f3g\u0142 potwierdzi\u0107 dost\u0119p do stron jabber.ru i xmpp.ru. <\/p>\n

Pocz\u0105tkowo pojawi\u0142a si\u0119 hipoteza o kompromitacji serwera projektu i przeprowadzeniu manipulacji z jego strony. Jednak przeprowadzony audyt nie wykaza\u0142 \u017cadnych \u015blad\u00f3w w\u0142amania. Zauwa\u017cono, \u017ce w logach serwera mia\u0142o miejsce kr\u00f3tkotrwa\u0142e wy\u0142\u0105czenie i w\u0142\u0105czenie interfejsu sieciowego (NIC Link is Down\/NIC Link is Up), kt\u00f3re mia\u0142o miejsce 18 lipca o 12:58 i mog\u0142o \u015bwiadczy\u0107 o manipulacjach z po\u0142\u0105czeniem serwera z prze\u0142\u0105cznikiem. Co ciekawe, dwa fa\u0142szywe certyfikaty TLS zosta\u0142y wygenerowane na kilka minut przed tym \u2014 18 lipca o 12:49 i 12:38. <\/p>\n

Ponadto podmiana nast\u0119powa\u0142a nie tylko w sieci dostawcy Hetzner, gdzie znajduje si\u0119 g\u0142\u00f3wny serwer, ale r\u00f3wnie\u017c w sieci dostawcy Linode, w kt\u00f3rej umieszczone by\u0142y \u015brodowiska VPS z pomocniczymi proxy, przekierowuj\u0105cymi ruch z innych adres\u00f3w. Po\u015brednio ustalono, \u017ce ruch na porcie 5222 (XMPP STARTTLS) w sieciach obu dostawc\u00f3w jest przekierowywany przez dodatkowy host, co da\u0142o podstawy do przypuszczenia, \u017ce atak zosta\u0142 przeprowadzony przez osob\u0119 maj\u0105c\u0105 dost\u0119p do infrastruktury dostawc\u00f3w. <\/p>\n

Teoretycznie podmiana mog\u0142a mie\u0107 miejsce od 18 kwietnia (data utworzenia pierwszego fa\u0142szywego certyfikatu dla jabber.ru), lecz potwierdzone przypadki podmiany certyfikatu odnotowano tylko od 21 lipca do 19 pa\u017adziernika. Przez ca\u0142y ten czas szyfrowana komunikacja z jabber.ru i xmpp.ru mo\u017ce by\u0107 uznana za skompromitowan\u0105. Podmiana ust\u0105pi\u0142a po rozpocz\u0119ciu dochodzenia, przeprowadzeniu test\u00f3w oraz wys\u0142aniu 18 pa\u017adziernika zapytania do dzia\u0142\u00f3w wsparcia provider\u00f3w Hetzner i Linode. Dodatkowo, obserwuje si\u0119 nadal przekierowanie w routingu pakiet\u00f3w wysy\u0142anych na port 5222 jednego z serwer\u00f3w<\/a> w Linode, ale certyfikat nie jest ju\u017c podmieniany. <\/p>\n

Zak\u0142ada si\u0119, \u017ce atak m\u00f3g\u0142 by\u0107 przeprowadzony z wiedz\u0105 provider\u00f3w na \u017c\u0105danie organ\u00f3w \u015bcigania, w wyniku w\u0142amania do infrastruktury obu provider\u00f3w lub przez pracownika maj\u0105cego dost\u0119p do obu firm. Maj\u0105c mo\u017cliwo\u015b\u0107 przechwytywania i modyfikacji ruchu XMPP, napastnik m\u00f3g\u0142 uzyska\u0107 dost\u0119p do wszystkich zwi\u0105zanych z kontami danych, takich jak przechowywana na serwerze historia wiadomo\u015bci, a tak\u017ce m\u00f3g\u0142 wysy\u0142a\u0107 wiadomo\u015bci w cudzym imieniu i wprowadza\u0107 zmiany w cudzych wiadomo\u015bciach. Wiadomo\u015bci wysy\u0142ane z u\u017cyciem end-to-end encryption (OMEMO, OTR lub PGP) mo\u017cna uzna\u0107 za nieskompromitowane, je\u015bli klucze szyfruj\u0105ce zosta\u0142y potwierdzone przez u\u017cytkownik\u00f3w po obu stronach po\u0142\u0105czenia. U\u017cytkownicy jabber.ru s\u0105 zalecani do zmiany hase\u0142 dost\u0119pu oraz sprawdzenia kluczy OMEMO i PGP w swoich repozytoriach PEP w celu wykrycia ewentualnej podmiany.
\n
\u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0410\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440 Jabber-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 jabber.ru (xmpp.ru) \u0432\u044b\u044f\u0432\u0438\u043b \u0430\u0442\u0430\u043a\u0443 \u043f\u043e \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0435 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 (MITM), \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u043c\u0443\u044e \u043d\u0430 \u043f\u0440\u043e\u0442\u044f\u0436\u0435\u043d\u0438\u0438 \u043e\u0442 90 \u0434\u043d\u0435\u0439 \u0434\u043e 6 \u043c\u0435\u0441\u044f\u0446\u0435\u0432 \u0432 \u0441\u0435\u0442\u044f\u0445 \u043d\u0435\u043c\u0435\u0446\u043a\u0438\u0445 \u0445\u043e\u0441\u0442\u0438\u043d\u0433-\u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 Hetzner \u0438 Linode, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0440\u0430\u0437\u043c\u0435\u0449\u0451\u043d \u0441\u0435\u0440\u0432\u0435\u0440 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 \u0438 \u0432\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0435 VPS-\u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f. \u0410\u0442\u0430\u043a\u0430 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u043d\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043d\u0430 \u0442\u0440\u0430\u043d\u0437\u0438\u0442\u043d\u044b\u0439 \u0443\u0437\u0435\u043b, \u043f\u043e\u0434\u043c\u0435\u043d\u044f\u044e\u0449\u0438\u0439 TLS-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0434\u043b\u044f XMPP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439, \u0448\u0438\u0444\u0440\u0443\u0435\u043c\u044b\u0445 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u044f STARTTLS. \u0410\u0442\u0430\u043a\u0430 \u0431\u044b\u043b\u0430 \u0437\u0430\u043c\u0435\u0447\u0435\u043d\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-111010","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Odnotowano przechwycenie szyfrowanego ruchu jabber.ru i xmpp.ru | ProHoster","description":"Administrator serwera Jabber jabber.ru (xmpp.ru) wykry\u0142 atak polegaj\u0105cy na deszyfracj\u0119 ruchu u\u017cytkownik\u00f3w (MITM), kt\u00f3ry trwa\u0142 od 90 dni do 6 miesi\u0119cy w sieciach niemieckich provider\u00f3w hostingowych Hetzner i Linode.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/news\/zafiksirovan-perehvat-shifrovannogo-trafika-jabber-ru-i-xmpp-ru","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0417\u0430\u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043d \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430 jabber.ru \u0438 xmpp.ru | ProHoster","og:description":"\u0410\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440 Jabber-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 jabber.ru (xmpp.ru) \u0432\u044b\u044f\u0432\u0438\u043b \u0430\u0442\u0430\u043a\u0443 \u043f\u043e \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0435 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 (MITM), \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u043c\u0443\u044e \u043d\u0430 \u043f\u0440\u043e\u0442\u044f\u0436\u0435\u043d\u0438\u0438 \u043e\u0442 90 \u0434\u043d\u0435\u0439 \u0434\u043e 6 \u043c\u0435\u0441\u044f\u0446\u0435\u0432 \u0432 \u0441\u0435\u0442\u044f\u0445 \u043d\u0435\u043c\u0435\u0446\u043a\u0438\u0445 \u0445\u043e\u0441\u0442\u0438\u043d\u0433-\u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 Hetzner \u0438 Linode, \u0432.","og:url":"https:\/\/prohoster.info\/pl\/blog\/news\/zafiksirovan-perehvat-shifrovannogo-trafika-jabber-ru-i-xmpp-ru","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2023-10-20T19:10:22+00:00","article:modified_time":"2023-10-20T19:10:22+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"111010","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-02-08 21:02:30","updated":"2026-02-09 16:51:31","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/111010","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=111010"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/111010\/revisions"}],"predecessor-version":[{"id":158943,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/111010\/revisions\/158943"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=111010"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=111010"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=111010"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}